【Fortigate】Session-helper(ALG)の設定と動作確認　FortiOS6.4.3

FTP のように、最初の接続のやり取りの中で別のポート番号を決め、そのポートで追加の接続を張るプロトコルがあります。ファイアウォールのポリシーで最初の接続だけを許可していると、あとから張られる接続は別の通信として扱われ、通らないことがあります。

FortiGate では、session-helper という機能がこうしたプロトコルの中身を追跡し、追加の接続を通します。一般には ALG（アプリケーションレイヤーゲートウェイ）と呼ばれる機能です。この記事では FTP のパッシブモードを例に、session-helper の動きと、FTP サーバのポートを変えたときの設定を確認します。検証時の FortiOS は 6.4.3 です。

session-helper とは

session-helper は、特別な処理が必要なセッションを扱う FortiOS の機能です。ポリシーで許可されたセッションが、session-helper に登録したプロトコル番号とポート番号に一致すると、そのセッションは session-helper に渡されます。session-helper はセッションの中身を読み、関連する接続を通したり、メッセージの中の IP アドレスを変換したりします。

FortiOS 6.4.3 の config system session-helper で指定できる種類（set name）は次のとおりです。

FTP パッシブモード

FTP はファイル転送用のプロトコルで、コマンドをやり取りするコントロールコネクションと、ファイルを送るデータコネクションの2つを使います。データコネクションの張り方には、アクティブモードとパッシブモードがあります。

パッシブモードでは、クライアントがまず TCP 21 番でコントロールコネクションを張ります。クライアントが PASV コマンドを送ると、サーバはデータ用のポートで待ち受け、そのアドレスとポート番号を 227 Entering Passive Mode (h1,h2,h3,h4,p1,p2) の形で返します。ポート番号は p1×256＋p2 です。クライアントは、通知されたポートにデータコネクションを張ります。

ファイアウォールから見ると、データコネクションのポート番号は、コントロールコネクションの中身を読まない限りわかりません。session-helper の FTP は、このやり取りを追跡してデータコネクションを通します。

標準ポート（TCP 21）での接続

ポリシーで FTP だけを許可する

FortiGate を経由して、端末から FTP サーバに標準ポート（TCP 21）のパッシブモードで接続します。ポリシー&オブジェクト ›› ファイアウォールポリシー で、サービスを FTP だけにしたポリシーを作ります。

パッシブモードで接続する

端末から FTP サーバにパッシブモードで接続し、パケットをキャプチャしました。FTP サーバからの 227 応答で、データコネクション用のポート番号が通知されています。

▸ Internet Protocol Version 4, Src: （伏せています）, Dst: （伏せています）1▸ Transmission Control Protocol, Src Port: 21, Dst Port: 55143▾ File Transfer Protocol (FTP)2  ▾ 227 Entering Passive Mode (（伏せています）,194,61).\r\n      Response code: Entering Passive Mode (227)      Response arg: Entering Passive Mode (（伏せています）,194,61).      Passive IP address: （伏せています）3      Passive port: 49725  [Current working directory: /]  [Command: RETR test.txt.txt]

トラフィックログを確認する

ログ＆レポート ›› 転送トラフィック でトラフィックログを確認すると、FTP に続いて TCP 49725 番の通信が記録されています。

FTP だけを許可したポリシーで、動的に決まった TCP 49725 番の通信まで許可されています。実際にファイル転送も問題なく動作しました。

これは、TCP 21 番の通信を FTP として追跡するよう、session-helper に最初から登録されているためです。CLI で設定を確認すると、プロトコル番号 6（TCP）のポート 21 が ftp として登録されています。

FortiGate（初期設定の session-helper のうち FTP の行）

config system session-helper
    edit 9
        set name ftp
        set protocol 6
        set port 21
    next
end

カスタムポート（TCP 8021）での接続

次に、FTP サーバの待ち受けポートを TCP 21 から TCP 8021 に変えた場合を確認します。

session-helper の設定なしで接続する

TCP 8021 番のサービスオブジェクトを作り、ポリシー4 のサービスを TCP8021 に変えます。

端末からパッシブモードで接続すると、コントロールコネクションは張れますが、データ転送ができる状態になりません。TCP 8021 番は許可されていますが、通知されたポート（今回は TCP 49727 番）への通信が拒否されています。

TCP 8021 番の通信を FTP として追跡する設定がないため、FortiGate は TCP 49727 番の接続を FTP とは関係のない新しいセッションとして扱います。ポリシー4 は TCP8021 しか許可していないので一致せず、後ろのポリシーで拒否されます。

session-helper に TCP 8021 を追加する

TCP 8021 番の通信を FTP として追跡するよう、session-helper に登録します。まず、今いくつ登録されているかを edit の番号で確認します。

FortiGate

FortiGate # config system session-helper
FortiGate (session-helper) # show | grep edit
    edit 1
    edit 2
    edit 3
    edit 4
    edit 5
    edit 6
    edit 7
    edit 8
    edit 9
    edit 10
    edit 11
    edit 12
    edit 13
    edit 14
    edit 15
    edit 16
    edit 17
    edit 18
    edit 19
    edit 20
FortiGate (session-helper) #

20 個登録されているので、21 番目として、プロトコル番号 6（TCP）のポート 8021 を ftp として追跡するよう設定します。

FortiGate

FortiGate # config system session-helper
FortiGate (session-helper) # edit 21
new entry '21' added
FortiGate (21) # set name ftp
FortiGate (21) # set protocol 6
FortiGate (21) # set port 8021
FortiGate (21) # end
FortiGate #

設定した内容を確認します。

FortiGate

FortiGate # config system session-helper
FortiGate (session-helper) # edit 21
FortiGate (21) # show
config system session-helper
    edit 21
        set name ftp
        set protocol 6
        set port 8021
    next
end
FortiGate (21) #

もう一度接続して確認する

ポリシーは STEP 4 のまま（図6、サービスは TCP8021 だけ）で変えずに、端末からパッシブモードで接続します。今度は問題なく接続でき、ファイル転送も動作しました。

うまく通らないとき

まとめ

FTP を標準以外のポートで動かすときは、ポリシーでそのポートを許可するだけでは足りず、session-helper にも同じポートを FTP として登録する必要があります。session-helper は FTP のほか、SIP や H.323 など複数のプロトコルに対応しています。

参考：Configure session helper. – CLI Reference FortiOS 6.4.3
FortiGate の関連記事：ファイアウォールポリシー ／ ステートフルインスペクション ／ サービスオブジェクト